> Помимо проверки сертификата при каждом входе обязательно применяется двухфакторная аутентификация, требующая подтвердить намерение входа альтернативным путём.
> Не допускается прямое обращение к конечным узлам, для доступа требуется подключение только через специальный прокси.
> Поддержка функций аудита и повторения типовых операций - содержимое SSH-сеансов может записываться и при необходимости воспроизводиться на других хостах;
> Режим совместного решения проблем, при котором несколько человек могут совместно использовать один сеанс SSH;
> Поддержка блокировки доступа после нескольких неудачных попыток входа;

Неплохо, все требования PCI DSS из коробки.